サービス概要
ペネトレーションテストは、個々の脆弱性を網羅的に列挙する診断とは異なり、合意した攻撃開始地点から重要資産や重要操作へ到達できるかを検証します。Web、クラウド、社内ネットワーク、端末、認証基盤などを横断し、複数の弱点、設定、運用上の隙をつないだ攻撃経路を確認します。
事業上の脅威を起点にシナリオを設計し、攻撃者がどこまで進めるかだけでなく、どの段階で防御・検知・対応できるかを評価します。
対象例
- インターネット公開システムから顧客情報や管理機能への到達
- 侵害された一般端末から社内の重要サーバーへの横展開
- 低権限のクラウドアカウントから本番データや管理権限への到達
- Webアプリケーションからクラウドや内部サービスへ広がる攻撃
- 漏えいした認証情報を起点とする権限拡大と追加認証情報の取得
- 防御製品、ログ監視、インシデント対応手順の有効性確認
主な検証観点
起点と目標の定義
外部攻撃者、一般利用者、侵害済み端末、内部利用者などの開始条件と、取得されたくない情報、実行されたくない操作、掌握されたくない権限を具体化します。
攻撃経路
情報収集、初期侵入、コード実行、権限昇格、認証情報へのアクセス、横展開、重要資産への到達を、対象環境に合わせて検証します。単体では低リスクに見える問題も、経路の一部として評価します。
防御と検知
アクセス制御、ネットワーク分離、多要素認証、エンドポイント対策、ログとアラートが各段階で機能するかを確認します。検知後の連絡や封じ込めを含める場合は、演習条件を別途定めます。
攻撃シナリオの具体例
- 公開Webの脆弱性から実行環境の権限を取得し、クラウドの実行ロールを経由してデータへ到達する
- 一般ユーザーの認証情報から設定不備を利用して権限を拡大し、管理機能を操作する
- 侵害済み端末に残る認証情報を利用して別ホストへ移動し、重要サーバーへ到達する
- 複数環境で再利用されたシークレットを起点に、開発環境から本番環境へ影響を広げる
安全管理と成果物
実施前に対象、時間帯、許可する攻撃、禁止操作、負荷の上限、データの取扱い、連絡先、緊急停止条件を合意します。重大な影響が見込まれる操作は、代替手段や安全なPoCで確認します。
報告書では、攻撃のタイムライン、到達できた資産、利用した弱点と条件、防御・検知の状況、根本原因、優先して遮断すべき経路を整理します。経営・管理部門向けの影響と、技術担当者向けの再現・対策情報を分けて提示します。